Network Architecture Security Analysis for Azure

Bc. Daniel Košč

Master's thesis

Abstract:

Firmy čoraz viac prechádzajú na cloudové riešenia, čo spôsobuje rastúci dopyt po robustných možnostiach zapezpečenia kybernetickej bezpečnosti v týchto cloudových prostrediach. Zložitosť presadzovania bezpečnostných politík však znamená nespočetné množstvo pravidiel na rôznych úrovniach, čo predstavuje významnú výzvu pre manuálnu kontrolu a revíziu. V dôsledku toho existuje naliehavá potreba automatizácie, ktorá by tento proces zefektívnila. Existujúce riešenia v tejto oblasti sú často limitované licenčnými obmedzeniami, nedostatočnou podporou a prispôsobením, či absenciou kompatibility s konkrétnymi cloudovými poskytovateľmi, prípadne chýbajúcou funkcionalitou. Táto diplomová práca ponúka riešenie týchto problémov predstavením prototypu sady nástrojov tak, aby vyhovovali vyvíjajúcim sa potrebám kybernetickej bezpečnosti v cloudovom prostredí Azure. Prototyp bol vyvinutý, testovaný a overený v spolupráci s nadnárodnou firmou prevádzkujúcou komplexnú infraštruktúru v cloudovom prostredí Azure. Sada nástrojov na analýzu pravidiel bezpečnostnej politiky pod označním SPRAT ponúka riešenie pre efektívne spravovanie rozsiahlych bezpečnostných konfigurácií a odhaľuje ich skryté slabiny. Pri formovaní konečnej verzie prototypu bol využitý iteratívny proces zdokonaľovania, zahrňujúci konzultácie s profesionálmi v danom obore. Prediskutované boli funkčné a nefukčné požiadavky na finálnu verziu prototypu. Začlenením spätnej väzby a postrehov od všetkých zainteresovaných strán bol SPRAT vyladený tak, aby spĺňal potreby a očakávania rôzneho spektra používateľov v rámci oboru kybernetickej bezpečnosti. Vďaka prístupu k údajom z reálneho Azure prostredia sa potvrdilo, aký zásadný význam má efektívnosť na spracovanie pravidiel bez značného oneskorenia. Tieto poznatky zdôrazňujú potrebu nástrojov, ktoré sú schopné rýchlo a presne analyzovať rozsiahle bezpečnostné konfigurácie. To v konečnom dôsledku zvyšuje bezpečnosť identifikáciou a návrhom riešení chybných konfigurácií v rámci zabezpečenia prostredia Azure.

Abstract:

As organisations increasingly transition to cloud-based infrastructures, the demand for robust cybersecurity measures within these environ- ments escalates. However, the complexity of security policy enforce- ment, characterised by countless rules across different levels, presents significant challenges for manual assessment and maintenance. Con- sequently, there is a pressing need for automation to streamline this process. Existing solutions in this domain often suffer from various limi- tations, such as commercial constraints, lack of support for customi- sation, absence of compatibility with specific cloud environment, or insufficient feature sets. Addressing these gaps, this thesis introduces a prototype toolkit tailored to meet the evolving needs of cybersecurity in the Azure cloud environment. Developed, tested, and validated in collaboration with an organ- isation operating a substantial Azure infrastructure, the proposed Security Policy Rule Analysis Toolkit (SPRAT) offers a solution for efficiently managing vast rule policy datasets and uncovering hidden weaknesses within those configurations. The iterative refinement process, informed by consultations with domain professionals regarding the functionality and output of the SPRAT, has been instrumental in shaping the final version of the proto- type. By incorporating feedback and insights from these stakeholders, the SPRAT has been tailored to meet the needs and expectations of de- manding users within the cybersecurity domain. Furthermore, access to real-world data underscores the critical importance of an efficient engine for rules processing. This first-hand experience highlights the necessity for a toolkit capable of swiftly and accurately analysing vast datasets, ultimately enhancing its effectiveness in identifying and addressing security misconfigurations within Azure environments.

Keywords

Azure, firewall, analyse, exposure, NSG, rule, connection, security policy management, cloud

Language used: English

Date on which the thesis was submitted / produced: 21. 5. 2024

Thesis defence

• Date of defence: 19. 6. 2024
• Supervisor: doc. Ing. Václav Oujezský, Ph.D.
• Reader: Mgr. Pavel Novák

Masaryk University

Faculty of Informatics

Master programme / field:
Software Engineering / Design and development of software systems